FIM4L travaille à des bonnes pratiques pour l’accès fédéré aux ressources numériques
FIM4L (Federated Identity Management for Libraries) est un groupe de travail dirigé par des bibliothèques. FIM4L est une initiative internationale dont les membres proviennent d’au moins 4 continents. La branche européenne s’est également organisée en tant que groupe de travail LIBER.
C’est un groupe qui s’intéresse en particulier au sujet de l’accès aux contenus éditeurs par les fédérations d’identités. Au début de l’année 2022, le groupe de travail LIBER FIM4L et Elsevier ont organisé une série d’ateliers sur le thème de l’accès fédéré.
L’accès fédéré, également appelé Shibboleth ou SSO, peut être utilisé par les bibliothèques pour donner accès aux ressources électroniques. Au cours du processus de connexion, des informations sur l’utilisateur sont (souvent) échangées avec l’éditeur. La bibliothèque, l’éditeur et l’utilisateur peuvent décider de quelles informations seront partagées.
Dans ce récent billet (dont nous fournissons ici une traduction libre), il est question :
- de « CAR » ou Consent Attribute Release, qui laisse l’utilisateur final décider de chaque attributs qu’il souhaite faire connaitre à l’éditeur sur la plateforme duquel iel s’authentifie (par le mécanisme de la fédération d’identités où il choisit son établissement dans une liste puis est redirigé sur son annuaire habituel avant de revenir, authentifié·e et autorisé·e, sur la plateforme éditeur).
- du choix d’enregistrer un identifiant persistant (ou identifiant pseudonyme) : l’utilisateur peut choisir de rester complètement anonyme, pseudonyme ou identifié personnellement pendant la phase d’authentification (et donc dans son parcours ultérieur sur la plateforme de l’éditeur)
L’enjeu de ce travail est celui d’arriver à prendre en charge une grande variété de parcours utilisateurs, qui peuvent arriver sur une plateforme par différents points d’accès, mais qui s’attendent à une expérience homogène (unifiée ?) de la plateforme.
Dans le travail de test avec Elsevier (considéré par le groupe de travail comme un « éditeur complexe avec de nombreuses fonctionnalités et possibilités en place. Par exemple, il existe différents services disponibles, tels que ScienceDirect et Scopus, mais aussi Mendeley en tant que service public pour lequel une connexion personnelle est requise. D’autres fournisseurs de contenu en ligne offrent généralement une plateforme plus simple pour la gestion de la vie privée. À cet égard, Elsevier offre une excellente occasion d’étudier les interactions entre identité et anonymat.)
Il a été relevé que l’utilisateur est confronté à plusieurs problèmes quand iel s’authentifie sans identifiant pseudonyme, c’est à dire anonymement :
- Tous les produits Elsevier ne prennent pas en charge l’anonymat
- Si un utilisateur anonyme connecté décide de mettre en place des alertes sur Sciencedirect, par exemple, il sera informé qu’il doit d’abord se connecter. Ensuite, il créera probablement un nouveau compte d’utilisateur, peut-être en dehors d’un compte existant, et sa session actuelle sera interrompue.
- Lorsqu’un utilisateur identifié se déconnecte, il ne peut plus se connecter anonymement dans cette session.
Si la connexion anonyme était officiellement prise en charge par un éditeur, il serait important d’en informer l’utilisateur par une communication très claire. Mais cela présente deux difficultés : les utilisateurs ne comprennent pas forcément ces différences de connexion, et il peut toujours y avoir des cas de parcours où l’utilisateur n’est pas du tout informé.
La question de l’intérêt de l’anonymat (pourquoi en aurait on besoin malgré les difficultés évoquées ?) est ensuite posée. D’abord parce qu’il est dans les valeurs cardinales d’une bibliothèque qu’il doit être possible de conduire ses recherches anonymement.
Si la plupart des utilisateurs ont confiance dans la relation entre la bibliothèque et l’éditeur, les utilisateurs critiques apprécieront toujours la possibilité d’un accès anonyme, ce que la plupart des bibliothèques soutiennent. Et nous savons aussi que l’anonymat sur Internet est souvent impossible.
L’article se termine en rappelant l’importance de la confiance et la réciprocité entre la bibliothèque, l’éditeur et les utilisateurs, qui peuvent se construire par :
- la contractualisation (par un code de conduite ou un accord de traitement des données (DPA))
- la transparence technique
- la sensibilisation (voire : la formation) des utilisateurs
Le groupe de travail FIM4L estime que les bibliothèques doivent défendre l’anonymat auprès des éditeurs (sans que cela s’arrête à SAML ou à d’autres méthodes d’authentification). L’éditeur dispose de plus de données et donc de plus de responsabilités que la bibliothèque. Même si un utilisateur peut venir anonymement de la bibliothèque, les choses peuvent être différentes dans le système de l’éditeur. La bibliothèque devrait fournir des directives supplémentaires aux utilisateurs lorsqu’elle souhaite que ces derniers effectuent un parcours de recherche anonyme (ou aussi anonyme que possible). Les bibliothèques ont, historiquement, joué un rôle crucial dans l’éducation des utilisateurs sur les questions de vie privée et ceci est une opportunité supplémentaire. Les recommandations liées aux navigateurs pourraient en faire partie.
Une autre question se pose : un éditeur dispose de nombreuses méthodes pour suivre les utilisateurs, et ce pour de bonnes raisons. Est-il alors possible pour un utilisateur authentifié de se retirer d’une session personnalisée et de passer à une session anonyme ? Si un éditeur peut offrir cette possibilité, il s’alignerait sur les valeurs défendues par les bibliothèques.
Enfin, un autre aspect à prendre en compte pour offrir une variété de possibilités d’accès est l’opportunité de former les utilisateurs sur les compromis entre la libération des attributs et les modèles d’accès.
Cela plaide pour la transparence lorsqu’il s’agit des interactions entre l’utilisateur et les fournisseurs de contenu : l’utilisateur peut voir clairement ce qui est partagé et pourquoi.